摘要

  • RFC 1222 建议把订户 IGP 与 NSFNET 骨干 IGP 的两个逻辑路由实体放进同一台物理设备，但继续用 EGP 或 BGP 跨越二者之间的边界。
  • 机箱合并没有合并配置权。骨干组织和接入网络提供者仍分别对自己的路由信息完整性负责，以太网接点仍是管理与运维分界。
  • 本机 BGP 会话、两个运行中的守护进程，都不能单独证明内核路由表正确、故障相互隔离、数据已转发或目的端可达。

便宜的是硬件，不是边界

RFC 1222 由 H-W. Braun 与 Y. Rekhter 在 1991 年 5 月发表，目标是让 NSFNET 骨干订户获得更简单、成本更低的接入方式。RFC Editor 记录把它列为 Informational；IETF Datatracker保留了 Legacy stream 身份。正文明确说，它不是互联网标准。

这份提案从一次失败的“整体感”开始。NSFNET 第一期的 56 Kbps 骨干用 Fuzzball 和 Hello Protocol，中层网络常用 RIP，gated 在两种环境间翻译。骨干、中层和校园网于是看上去像一个自由交换路由信息的大系统。

外观上的统一没有带来统一责任。一个管理域里的度量变化可以穿过多个组织传播到远端；事件驱动更新会放大波动；拓扑越互联，缺少隔离越容易形成环路。某条变化经过了全网，不等于全网共同批准了它。

第二期先把内部路由拆开

T1 第二期把骨干 IGP 与客户 IGP 强力解耦。每个管理主体保留自己的内部协议，边界通过 EGP，随后也可通过 BGP，交换可达性。RFC 1093记录了这一骨干—接入网接口，RFC 1092则描述代表协议、策略数据库、首选路径和拒绝未授权宣告的配套机制。

这种隔离没有神奇地保证路线正确。它把判断放到可观察的交界处：内部度量不必全量外泄，外部宣告可以经过配置、过滤与问责。骨干的集中配置库能够校验并分发节点配置，但它不能替订户证明订户侧的导入结果，更不能替数据平面证明报文已经通过。

代价落在接入现场。订户通常需要维护自己的路由对等体，让它参加本地 IGP，再在共享子网上与 NSFNET 节点建立 EGP 或 BGP 会话。面向更多小型站点时，额外设备和复杂运维会把正确架构变成高门槛。

两个逻辑实体可以住在一个机箱

RFC 1222 把“必须分开”拆成了逻辑条件，而不是硬件数量。第一实体参加订户 IGP，第二实体参加骨干 IGP，二者通过域间机制交换信息。只要这三个关系保留，就不必坚持两台机器。

提案中的 Unix 外部节点可以运行两个路由守护进程，通过 lo0 回环接口或内部 IPC 运行 EGP/BGP。物理路径被压到一台机器内部，但消息的行政含义没有缩短。RFC 1163 的 BGP仍然是自治系统之间的可达性交换；把会话放到回环口，并不会让双方突然拥有同一个配置作者。

因此，“一个机箱”只能回答设备位置，不能回答路由归属。谁生成宣告、谁批准导入、谁保存来源标签、谁有权回滚，仍需分别记录。

共用内核会把风险重新接起来

RFC 1222 特别提醒：两个守护进程不能以非预期方式同时操作系统内核。这句话打破了一个常见错觉——进程图上画了两只方框，并不证明转发表、接口、资源和失败模式已经隔离。

证据要逐层对齐：进程存在，只证明进程启动；本机 BGP 建立，只证明控制会话完成；路由被某守护进程接受，只证明该进程作出决定；写入内核需要单独读取；实际转发需要数据平面观测；端到端可达还需要机箱之外的证据。

提案要求在两个 IGP 之间保留强防火墙，并在路由信息越界时附加外部域标记。标记能保存来源语境，却不会自动认证宣告，也不会保证后续软件未丢掉或误用标记。

配置属于它所描述的一方

设备集中之后，控制仍应分布。RFC 1222 把各自路由信息完整性的责任分别交给 NSFNET 骨干组织和接入网络提供者。区域订户可以提供与其 IGP 对接的守护进程配置，从而控制哪些信息进入自己的内部域。

以太网接点继续作为行政与运维分界。这条线不是装饰。它使故障发生时仍能问：哪一方编写了哪个配置，谁操作哪个接口，哪份日志能说明哪个决定，谁有权修改或撤销。

“负责完整性”也不是“已经完整”。规范分配了职责，没有提供某个真实站点的审计记录。骨干侧看到正确会话，不能替代订户侧的配置证据；订户侧路由表正确，也不能替代骨干转发表和远端可达性。

物理分界移动时，故障证据必须跟上

更长期的设想把分界向 C-NSS 核心云移动，让 E-NSS 完全参加订户 IGP，骨干 IGP 则留在核心。这样一来，C-NSS 与 E-NSS 之间的物理介质必须由两个管理主体共同管理。

RFC 1222 要求这种链路的可管理性和故障隔离接近清晰的以太网分界。PPP 与串行线路管理能力可能帮助诊断，但不同设备混在链路上，会使硬件故障归属变得困难。链路亮起，只证明某个层面的状态，不证明责任已经厘清。

这段历史留下的不是“虚拟化早已解决一切”，而是一条更克制的规则：可以合并成本，但不能顺手合并事实。逻辑域、配置作者、内核状态、物理故障、转发与服务结果，必须各自留下可验证的记录。

来源